新员工个人信息保护法合规培训

20XX/XX/XX新员工个人信息保护法合规培训汇报人:XXXCONTENTS目录01

培训开场与课程概述02

个人信息保护法适用范围03

员工涉个人信息合规边界04

企业个人信息侵权风险案例05

新员工的法定合规义务06

日常工作合规操作指引培训开场与课程概述01培训目的与意义

强化新员工合规意识帮助新员工快速掌握《个人信息保护法》核心要求，避免因认知不足触碰合规红线。

降低企业合规风险引导新员工规范处理用户个人信息，参考滴滴因违规处理数据被罚80亿元的案例，筑牢企业数据安全防线。

保障用户信息权益明确新员工在个人信息收集、存储等环节的责任，切实维护用户的信息安全与合法权益。课程内容框架介绍核心条款拆解与场景解析围绕《个人信息保护法》核心条款，结合企业新员工入职信息采集等场景展开详细解读。违规风险案例警示列举某互联网企业因违规收集新员工隐私信息被处罚的案例，明确合规红线。实操合规流程演示讲解新员工信息录入、存储及销毁的标准化合规流程，配套实操模拟环节。个人信息保护法适用范围02境内处理个人信息的组织、个人我国境内的企业、事业单位等组织及个人，处理个人信息时均需遵守《个人信息保护法》。境外处理境内个人信息的主体境外组织或个人处理我国境内居民个人信息，若损害我国公民权益，需受该法约束。提供重要互联网平台服务的主体抖音、微信等大型互联网平台，作为特殊主体，需履行更严格的个人信息保护义务。法律适用的主体范围企业处理个人信息场景

员工入职信息收集新员工入职时，企业会收集身份证、学历证明等信息用于办理入职手续、签订劳动合同。

员工日常管理信息处理企业在考勤管理、绩效评估中，会处理员工的出勤数据、工作成果等个人信息。

员工离职信息处置员工离职后，企业需按规定处理其个人档案、薪酬记录等信息，保障信息安全。不同信息类型处理要求

敏感个人信息处理要求处理生物识别、宗教信仰等敏感信息，需取得员工单独同意，如采集指纹考勤需明确告知用途。

一般个人信息处理要求处理姓名、普通联系方式等一般信息，需履行告知义务，如入职登记时公示信息使用范围。

匿名化信息处理要求处理已匿名化的员工信息，无需遵守个人信息保护规则，如统计员工平均薪资时隐去姓名。针对境内个人的境外处理行为境外组织处理境内自然人个人信息时，需遵循我国个保法，如跨国企业收集中国用户信息需合规。危害境内个人权益的境外行为境外主体处理信息若侵害中国公民权益，我国个保法可管辖，比如境外平台非法泄露中国用户隐私。境外提供境内个人信息的行为向境外提供境内自然人个人信息，需符合个保法规定，如国内企业向海外总部传输用户信息需备案。域外效力的适用规则员工涉个人信息合规边界03信息收集的合规要求

明确收集范围仅收集与员工岗位履职直接相关的信息，如身份信息、学历证明，不得过度收集婚恋、宗教信仰等内容。

获取知情同意收集前需向员工明确告知信息用途、存储期限，取得员工书面或电子形式的自愿同意，字节跳动入职流程即遵循此规范。

限定收集方式需通过合法合规途径收集，不得采取窃听、偷拍、私自调取员工社交账号信息等非法手段获取个人信息。信息存储的合规要求存储介质的合规选择需采用具备加密功能的存储介质，如企业级加密服务器，禁止将员工信息存储在私人U盘等无防护设备中。存储期限的严格把控需按照法规及企业规定设定存储期限，如员工离职后需在30天内删除其非必要个人信息，避免超期存储。存储访问的权限管控需建立分级访问权限体系，仅HR部门相关岗位可查看员工敏感信息，如薪资、医疗记录等，防止信息泄露。信息使用的合规要求

仅用于明确业务场景新员工需确保个人信息仅用于招聘、考勤等预设业务场景，不得擅自挪作其他无关用途。

遵循最小必要原则处理员工个人信息应仅收集业务所需最少数据，如考勤仅需收集上下班时间，无需获取出行轨迹。

禁止非法对外披露新员工不得向外部机构或个人泄露员工个人信息，如某电商曾因泄露用户信息被处以高额罚款。内部信息传输合规边界企业内部传输员工信息需限定在必要岗位间，如HR仅向薪酬岗传输薪资信息，严禁跨部门随意流转。对外信息公开合规边界对外公开员工信息需获得书面授权，像企业宣传仅可公开员工岗位头衔，不得泄露住址等隐私内容。第三方信息传输合规边界向第三方传输员工信息要签订保密协议，例如向社保机构传输信息时，需明确限定信息使用范围。信息传输与公开的边界违规免责的法定情形

为履行法定职责所必需处理个人信息公安机关查办案件时，依法调取涉案新员工的个人信息，属于法定免责情形，无需承担责任。

为应对突发公共卫生事件所必需处理个人信息疫情期间企业统计新员工行程信息，用于防控需求，符合法定免责，不构成违规。

经新员工书面同意后处理其个人信息企业经新员工签字同意后收集其紧急联系人信息，属于合规免责，不受违规追责。企业个人信息侵权风险案例04违规收集个人信息案例

超范围收集通讯录信息案例某电商APP注册时强制要求读取用户通讯录，被监管部门处罚，违反了最小必要收集原则。

未告知收集目的收集位置信息案例某外卖平台在用户未授权情况下，持续收集实时位置，因未履行告知义务被立案调查。

诱导收集敏感生物识别信息案例某健身APP以领取优惠券为诱饵，诱导用户录入面部识别信息，被判定违规收集敏感信息。超范围使用信息案例

电商平台过度收集使用隐私信息某知名电商平台未经用户允许，超范围获取通讯录信息用于精准营销，被监管部门罚款500万元。

招聘平台擅自挪用求职者信息某头部招聘平台将求职者简历信息超范围用于第三方广告投放，引发大量用户投诉，遭行政处罚。

金融机构违规使用客户数据某城商行超范围使用客户征信信息推送非金融类产品，违反《个人信息保护法》，被责令整改。内部员工倒卖客户信息某电商平台员工利用权限导出数万条用户收货信息售卖，被警方查处，企业赔付用户超千万元。第三方合作机构数据泄露某连锁酒店合作的信息科技公司遭黑客攻击，泄露数百万住客身份证、手机号等敏感信息。系统漏洞致批量信息外流某金融企业因未及时修复系统漏洞，近十万条客户征信信息被窃取，引发大量用户投诉。信息泄露侵权案例违规向境外提供信息案例

跨国企业未经审批传输员工信息某外资车企未经网信部门审批，将中国员工的薪资、家庭住址等信息传输至境外总部，被处以高额罚款。

互联网企业违规向境外共享数据某社交平台在未获得用户授权的情况下，将新员工的入职信息同步给境外合作方，遭到监管部门立案调查。

外包服务商违规向境外输出信息某企业的人力外包服务商，私自将新员工的身份信息提供给境外第三方机构，引发用户信息泄露风险。新员工的法定合规义务05严守岗位涉密信息新员工需严格保密岗位涉及的客户隐私、公司未公开营收数据，如电商运营岗位的用户消费记录。妥善处理涉密载体工作中接触的纸质涉密文件、电子保密文档，需按规定存档销毁，不得私自复印或转发至外部渠道。规避涉密场景风险在公共场合、社交平台需避免谈论工作涉密内容，比如不得在朋友圈分享未上线产品的研发细节。履职中的保密义务违规行为的责任后果

个人行政责任承担新员工若违规泄露个人信息，可能面临监管部门罚款、警告等行政处罚，如美团曾有员工因违规获罚。

用人单位内部惩处违规员工会被企业依据规章制度处理，包括降薪、调岗乃至解除劳动合同，字节跳动有相关惩处案例。

民事赔偿责任追究因违规造成信息主体损失的，需承担民事赔偿责任，如顺丰员工违规泄露信息曾引发赔偿诉讼。日常工作合规操作指引06客户信息处理规范客户信息采集最小化处理仅采集业务必需的客户信息，如电商平台仅收集收货地址、联系方式，不额外询问隐私信息。客户信息存储加密管理采用AES加密技术存储客户数据，像银行对客户银行卡号、身份信息进行加密后再存档。客户信息按需授权使用仅在获得客户明确授权后使用信息，比如保险机构需经客户同意才可调取其健康数据用于核保。内部员工信息管理员工信息分级存储按照信息敏感程度分级，将核心身份信息存入加密服务器，普通办公信息存至常规共享盘。员工信息访问权限管控设置岗位匹配的访问权限，如HR专员可查看全量信息，部门主管仅能查看下属基础信息。员工信息定期清理归档对离职员工信息，在离职满半年后完成脱敏归档，对在职员工过时信息每季度清理一次。异常情况上报流程识别异常信息泄露场景

当发现客户身份证号、薪资明细等敏感信息被违规转发时，需第一时间判定为异常场景。填写标准化上报表单

通过公司OA系统填写统一上报表单，详细记录异常发生时间、涉及信息范围等关键内容。逐级上报至合规管理部门

先上报